Grazie al team di Project Zero, una divisione di Google che si concentra sul trovare, ed eventualmente notificare ad altre compagnie, gravi falle di sicurezza in vari prodotti, è stato scoperto e risolto un grave buco di sicurezza in alcuni dispositivi Apple.
Il team in questione in passato ha già scoperto pericolose vulnerabilità tanto nelle proprietà Google quanto in quelle di aziende terze, e in questo caso ad essere presa di mira e Apple con gli iPhone. In particolare, una serie di vulnerabilità in iOS permettevano l’esecuzione di diversi exploit su alcuni siti web.
Gli attacchi in questione, venivano eseguiti semplicemente visitando questi siti web, di cui non ci è dato sapere quali siano per ovvie ragioni e, senza nessuna interazione da parte dell’utente, i malintenzionati riuscivano ad accedere a tantissime informazioni dell’utente vittima.
Il problema è stato presente per ben due anni, infatti tutti i dispositivi iOS 10, iOS 11 e iOS 12 sono stati potenziali vittime di questi attacchi. Le informazioni accessibili erano diverse, a partire dalle password fino a posizione, contatti, foto private, e pure le chat su Whatsapp e Telegram non erano esenti da questa minaccia.
Apple, su segnalazione di Google, ha quindi corretto questo problema con una patch durante il mese di febbraio 2019, e veniamo a conoscenza di questo problema solo nel corso di queste ultime ore grazie alla pubblicazione del report di Project Zero sul proprio blog.
Secondo una stima di Google, gli utenti colpiti possono essere stati nell’ordine del migliaio, a settimana.
Qui le cose si fanno curiose: secondo i ricercatori di Google, infatti, si tratta di un nuovo tipo di attacco. Una catena di pezzetti di codice appartenenti a versioni diverse di iOS che non sarebbero di per sé a rischio ma che, messi insieme, creano una vulnerabilità che può essere sfruttata dagli attaccanti.
In totale abbiamo ben 15 vulnerabilità che possono essere ricombinate attraverso cinque catene (chain): 7 per quanto riguarda Safari, 5 per il kernel e due che intaccano le sandbox, utilizzate per evitare che una app malevola possa entrare nelle zone di memoria delle altre e infettarle.
Per maggiori approfondimenti sulle varie vulnerabilità:
Bella domanda, ma purtroppo non possiamo saperlo. Una cosa è certa, parte della responsabilità è sempre dell’utente, che deve saper rispettare le misure basilari di sicurezza, tenere i propri device sempre aggiornati e stare lontano da siti poco sicuri.
Fortunatamente, non siamo più potenziali vittime di questi attacchi da qualche mese ormai, ma una cosa è certa, la gara tra exploit e patch è eterna, e per quanto vengano scoperte e corrette diverse vulnerabilità, nessun software complesso sarà mai al 100% sicuro, quindi bisogna sempre prestare la massima attenzione.